Hack-hack i espectre de Meltdown: com afecta els usuaris de Android i Chrome

Potser heu escoltat que el cel ha caigut i que l’apocalipsi de seguretat ha passat a causa de dos nous atacs anomenats Meltdown i Spectre. Si treballes en informàtica o qualsevol altra àrea d'infraestructura informàtica a gran escala, és probable que també ho tinguis i ja desitges els teus dies de vacances el 2018.

Els mitjans de comunicació van escoltar per primera vegada els rumors d'aquestes explotacions bàsiques a finals del 2017, i els recents informes eren desesperadament especulatius i van obligar finalment empreses com Microsoft, Amazon i Google (el projecte de Project Zero a descobrir tot això) a respondre amb detalls. Aquests detalls han servit per a una lectura interessant si esteu interessats en aquest tipus de coses.

Però, per a tots els altres, sigui quin sigui el telèfon o l’ordinador que utilitzeu, pot semblar molt del que esteu llegint o escoltant en un idioma diferent. Això és així, i a menys que parleu amb tecnologia cyber-geek-security-techno-talk, potser haureu d’executar-ho a través d’un traductor d’alguna mena.

Bones notícies! Heu trobat aquest traductor i aquí teniu el que heu de saber sobre Meltdown i Spectre i què heu de fer al respecte.

Què són

Meltdown i Spectre són dues coses diferents, però com que es van revelar alhora i tots dos tracten l'arquitectura de microprocessador a nivell de maquinari, es parla de manera conjunta. El telèfon que feu servir ara mateix està gairebé segur afectat per l'explotació Spectre, però ningú no ha trobat la manera d'utilitzar-la.

El processador que hi ha al vostre telèfon determina el grau de vulnerabilitat d’aquest tipus d’explotacions, però és més segur suposar que tots us afecten si no esteu segurs. I ja que no exploten un error i, en canvi, estan utilitzant un procés que se suposa que ha de succeir, no hi ha cap solució fàcil sense actualitzar el programari.

Mireu el telèfon a les mans; és vulnerable a alguns d’aquests atacs.

Els ordinadors (que inclouen telèfons i altres ordinadors minúsculs) també confien en el que s’anomena aïllament de la memòria per a la seguretat entre les aplicacions. No és la memòria que s’utilitza per emmagatzemar dades a llarg termini, sinó la memòria que utilitza el maquinari i el programari mentre tot funciona en temps real. Els processos emmagatzemen dades per separat d'altres processos, de manera que cap altre procés sap on o quan es redacten o es llegeixen.

Totes les aplicacions i serveis que s’executen al vostre telèfon volen que el processador faci una mica de treball i li proporcionen una llista de coses que necessiten calcular. El processador no fa aquestes tasques en l'ordre de recepció, cosa que significa que algunes parts de la CPU estan inactives i que esperen que acabin altres parts, de manera que es podrà fer el primer pas un cop finalitzi el primer pas. En canvi, el processador pot avançar al pas tres o al quatre i fer-los amb antelació. Això s’anomena fora d’ordenació i totes les CPU modernes funcionen d’aquesta manera.

Meltdown i Spectre no exploten un error: ataquen la forma en què un processador calcula les dades.

Com que una CPU és més ràpida del que podria ser qualsevol programari, també fa una mica d’endevinar. L'execució especulativa és quan la CPU realitza un càlcul que encara no se li va demanar fer a partir dels càlculs anteriors que se li va demanar que realitzés. Una part d'optimitzar el programari per millorar el rendiment de la CPU segueix algunes regles i instruccions. Això significa que la majoria de vegades hi ha un flux de treball normal que es seguirà i una CPU pot saltar-se per tenir dades llestes quan el programari ho sol·liciti. I perquè són tan ràpides, si al cap i a la fi les dades no es necessitaven, es deixen de banda. Això encara és més ràpid que esperar que la sol·licitud realitzi un càlcul.

Aquesta execució especulativa és la que permet tant a Meltdown com a Spectre accedir a dades de les quals, d’altra manera, no podrien obtenir, tot i que ho fan de diferents maneres.

Fondre

Els processadors Intel, els processadors A més recents de la sèrie d’Apple i altres SOC ARM que utilitzen el nou nucli A75 (de moment només el Qualcomm Snapdragon 845) són vulnerables a l’explotació de Meltdown.

Meltdown aprofita el que es diu un "defecte d'escala de privilegis" que proporciona una aplicació d'accés a la memòria del nucli. Això vol dir que qualsevol codi que pugui accedir a aquesta àrea de memòria - on es produeix la comunicació entre el nucli i la CPU - té essencialment accés a tot el que necessita per executar qualsevol codi del sistema. Quan podeu executar qualsevol codi, teniu accés a totes les dades.

Espectre

Spectre afecta gairebé tots els processadors moderns, inclòs el del telèfon.

Spectre no necessita trobar una manera d’executar codi a l’ordinador perquè pot “enganyar” el processador a l’execució d’instruccions per a això, i després concedir-li accés a les dades d’altres aplicacions. Això vol dir que una explotació podria veure què fan les altres aplicacions i llegir les dades que han emmagatzemat. La manera en què una CPU processa les instruccions fora d'ordre a les sucursals és on ataca Spectre.

Tant Meltdown com Spectre són capaços d'exposar dades que haurien de ser empaquetades. Ho fan a nivell de maquinari, de manera que el vostre sistema operatiu no us fa immunes: Apple, Google, Microsoft i tota mena de sistemes operatius Unix i Linux de codi obert es veuen igualment afectats.

Degut a una tècnica que es coneix com a programació dinàmica que permet llegir les dades ja que és informàtica en lloc de necessitar-la emmagatzemar-la primer, hi ha molta informació sensible a la memòria RAM per poder llegir-la un atac. Si esteu interessats en aquest tipus de coses, els llibres en blanc publicats per la Universitat de Tecnologia de Graz són lectures fascinants. Però no cal llegir-los ni comprendre’ls per protegir-se.

Estic afectat?

Sí. Almenys, ho éreu. Bàsicament, tothom es va veure afectat fins que les empreses van començar a pegar el seu programari contra aquests atacs.

El programari que necessita actualitzar-se es troba al sistema operatiu, de manera que cal que necessiteu un pedaç d'Apple, Google o Microsoft. (Si utilitzeu un ordinador que tingui Linux i no tingueu infosec, ja teniu el pegat. Utilitzeu el vostre actualitzador de programari per instal·lar-lo o demaneu a un amic que estigui en infosec que us dirigeixi per actualitzar el vostre nucli). La increïble notícia és que Apple, Google i Microsoft disposen de pedaços ja desplegats o en el seu camí immediat per a versions compatibles.

Les especificitats

• Els processadors Intel des de 1995, excepte la Itanium i la plataforma ATOM pre-2013, estan afectats tant per Meltdown com per Spectre.
• Tots els processadors AMD moderns es veuen afectats per l'atac de Spectre. AMD PRO i AMD FX (AMD 9600 R7 i AMD FX-8320 es van utilitzar com a prova de concepte) les CPU de la configuració no estàndard (JIT BPF JIT del nucli) estan afectades per Meltdown. S'espera que sigui possible un atac similar contra la lectura de memòria de canal lateral contra totes les CPU de 64 bits, inclosos els processadors AMD.
• Els processadors ARM amb nuclis Cortex R7, R8, A8, A9, A15, A17, A57, A72, A73 i A75 són susceptibles de ser atacs amb Spectre. Els processadors amb nuclis Cortex A75 (Snapdragon 845) són vulnerables als atacs de Meltdown. S'espera que els xips que utilitzin variants d'aquests nuclis, com la línia Snapdragon de Qualcomm o la línia Exynos de Samsung, també tinguin vulnerabilitats similars o iguals. Qualcomm treballa directament amb ARM i té aquesta declaració sobre els problemes:

Qualcomm Technologies, Inc. és conscient de la investigació sobre seguretat sobre les vulnerabilitats del processador a tota la indústria que s'han denunciat. Proporcionar tecnologies que admetin una seguretat i privacitat robustes és una prioritat per a Qualcomm i, com a tal, hem estat treballant amb Arm i altres per avaluar l'impacte i desenvolupar mitigacions per als nostres clients. Estem incorporant i desplegant activament mitigacions contra les vulnerabilitats dels nostres productes afectats, i continuem treballant per reforçar-les. Estem en procés de desplegar aquestes mitigacions als nostres clients i animem a les persones a actualitzar els seus dispositius quan els pegats estiguin disponibles.

• NVIDIA ha determinat que aquestes explotacions (o altres explotacions similars que puguin sorgir) no afecten la informàtica de GPU, de manera que el seu maquinari és majoritàriament immune. Treballaran amb altres empreses per actualitzar els controladors de dispositius per ajudar a mitigar qualsevol problema de rendiment de la CPU i avaluen els seus SoCs (Tegra) basats en ARM.

• Webkit, les persones que hi ha al darrere del motor de renderització del navegador de Safari i el precursor del motor de Google Blink, tenen un excel·lent desglossament de com aquests atacs poden afectar el seu codi. Bona part s'aplicaria a qualsevol intèrpret o compilador i és una lectura sorprenent. Mireu com funcionen per solucionar-ho i evitar que passi la propera vegada.

En anglès, això vol dir que, a menys que encara utilitzeu un telèfon, una tauleta o un ordinador molt antics, haureu de considerar-vos vulnerable sense una actualització del sistema operatiu. Això és el que sabem fins ara en aquest front:

• Google ha pegat Android contra els atacs de Spectre i Meltdown amb els pedaços de desembre de 2017 i gener de 2018.
• Google ha pegat Chromebooks utilitzant les versions 3.18 i 4.4 del nucli al desembre de 2017 amb el sistema operatiu 63. Properament es pegaran els dispositius amb altres versions del nucli (mira aquí per trobar el teu). En anglès: el Toshiba Chromebook, l’Acer C720, el Dell Chromebook 13 i els Chromebook Pixels del 2013 i 2015 (i alguns noms que probablement mai no heu sentit a parlar) encara no s’aconsegueixen, però aviat. La majoria de Chromeboxes, Chromebases i Chromebits no són pegats, però aviat.
• Per als dispositius Chrome OS que no siguin pegats, una nova funció de seguretat anomenada Aïllament del lloc mitigarà qualsevol problema d’aquests atacs.
• Microsoft ha parchejat les dues explotacions a gener de 2018.
• Apple ha pegat macOS i iOS contra Meltdown a partir de l'actualització de desembre. La primera ronda d’actualitzacions d’Espectre es va retirar a principis de gener. Consulteu iMore tot el que necessiteu saber sobre aquests defectes de la CPU i com afecten el vostre Mac, iPad i iPhone.
• S'han enviat pegats a totes les versions compatibles del nucli de Linux, i sistemes operatius com Ubuntu o Red Hat es poden actualitzar mitjançant l'aplicació d'actualització de programari.

Per a especificacions d’Android, s’han aplicat els pams Nexus 5X, Nexus 6P, Pixel, Pixel XL, Pixel 2 i Pixel 2 XL i hauríeu de veure aviat una actualització si encara no l’heu rebuda. També podeu actualitzar manualment aquests dispositius si voleu. El projecte Open Source d'Android (el codi que s'utilitza per crear el sistema operatiu per a tots els telèfons Android) també s'ha quedat pegat i es poden actualitzar distribucions de tercers com LineageOS.

Com actualitzar manualment el vostre Pixel o Nexus

Samsung, LG, Motorola i altres venedors d'Android (empreses que fabriquen telèfons i tauletes i televisors) pegaran els seus productes amb l'actualització de gener de 2018. Alguns, com el Note 8 o el Galaxy S8, ho veuran abans que d’altres, però Google ha fet que el pegat estigui disponible per a tots els dispositius. Esperem veure més notícies de tots els socis per fer-nos saber què esperar i quan.

Què puc fer?

Si teniu un producte que és vulnerable, és fàcil que us atrapin al bombo, però no ho heu de fer. Tant Spectre com Meltdown no "simplement succeeixen" i depenen de la instal·lació de programari maliciós d'alguna mena que els permeti. Seguint algunes pràctiques segures, us mantindrà immune a qualsevol explotació de qualsevol maquinari de l’ordinador.

• Instal·leu només el programari que confieu des d’un lloc on confieu. Aquesta és una bona idea sempre, però sobretot si esteu esperant un pegat.
• Assegureu els dispositius amb una bona pantalla de bloqueig i xifrat. Això fa més que no deixar de sortir una altra persona, ja que les aplicacions no poden fer res mentre el telèfon estigui bloquejat sense el vostre permís.
• Llegiu i enteneu els permisos sobre tot el que executeu o instal·leu al telèfon. No tingueu por de demanar ajuda aquí!
• Utilitzeu un navegador web que bloquegi programari maliciós. Us podem recomanar Chrome o Firefox, i altres navegadors també us poden protegir contra programari maliciós basat en la web. Pregunteu a les persones que les elaboren i les distribueixen si no esteu segurs. És possible que el navegador web que vingués al vostre telèfon no sigui la millor opció, sobretot si teniu un model més antic. Edge i Safari també són de confiança per a dispositius Windows o MacOS i iOS.
• No obriu enllaços a les xarxes socials, ni a un correu electrònic ni a cap missatge d'algú que no coneixeu. Tot i que provenen de persones que coneixeu, assegureu-vos que confieu en el vostre navegador web abans de fer clic o tocar. Això és doble per als enllaços de redirecció que oculten l'URL d'un lloc. Utilitzem aquest tipus d’enllaços amb força freqüència i és probable que també hi hagi molts mitjans en línia que llegeixis. Ves amb compte.
• No siguis ximple Ja sabeu què significa això per a vosaltres. Confieu en el vostre judici i equivoqueu amb compte.

La bona notícia és que la manera de combatre aquestes explotacions de canals laterals no comportarà les desacceleracions enormes que es produïen abans que es publiquessin les actualitzacions. Així és com funciona la web i si llegiu sobre com el vostre telèfon o ordinador anava un 30% més lent després d’aplicar qualsevol correcció, va ser perquè el sensacionalisme ven. Els usuaris que utilitzen programes actualitzats (i han estat durant les proves) no ho veuen.

Alguns cops van dir que el pegat no té cap impacte en el rendiment, i això és fantàstic.

Tot això es va produir perquè aquests atacs mesuren intervals de temps precisos i els pegats inicials canvien o inhabiliten la precisió d'algunes fonts de cronometratge a través del programari. Menys precís significa més lent quan calculeu i l’impacte va ser exagerat per ser molt més gran del que és. Fins i tot les lleugeres disminucions del rendiment que són conseqüència de que els pegats estan mitigant altres companyies i veiem que NVIDIA actualitza la manera en què els seus GPUs crunch números o Mozilla funcionen de la manera de calcular les dades per fer-la encara més ràpida. El vostre telèfon no serà més lent del pegat de gener de 2018 i tampoc el vostre ordinador tret que sigui molt antic, almenys no de forma notòria.

Deixeu de preocupar-vos i, en canvi, assegureu-vos de fer tot el possible per mantenir les vostres dades segures.

Què s’ha de treure de tot

Els ensurts de seguretat sempre tenen algun tipus d’impacte real. Ningú ha vist que hi hagi casos en què Meltdown o Spectre s’utilitzin en estat salvatge i, com que la majoria de dispositius que utilitzem cada dia s’actualitzen o seran ben aviat, els informes quedaran així. Però això no significa que s'hagin de fer cas.

Preneu-vos seriosament amenaces de seguretat, però no us incumbeu. estar informat!

Aquestes explotacions de canals laterals podrien ser el gran esdeveniment que canvia el joc i que es preocupa de la ciberseguretat. Qualsevol explotació que afecti el maquinari és seriosa, i quan ataca alguna cosa feta a propòsit en lloc d’un error es torna encara més greu. Afortunadament, els investigadors i desenvolupadors van poder capturar, contenir i pegar Meltdown i Spectre abans que es produís un ús generalitzat.

El que és realment important és que obteniu la informació adequada perquè sàpigues què fer cada vegada que escolteu un nou cyberthreat que vol totes les vostres coses digitals. Normalment hi ha una manera racional de mitigar els efectes greus un cop superats tots els títols.

Cuidat!

És possible que guanyem una comissió per les compres mitjançant els nostres enllaços. Aprèn més.